--- title: "IBM API Connect 12.1.0.0〜12.1.1.2 で、認可の欠如により、リモートの攻撃者がテナントを作成・変更・削除できる恐れ（CVE-2026-17362・12.1.1.3 で修正の記載）" url: https://n-t-p.io/worldsecurity/articles/ibm-api-connect-missing-authorization-tenants-cve-2026-17362 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 緊急 cve: CVE-2026-17362 --- # IBM API Connect 12.1.0.0〜12.1.1.2 で、認可の欠如により、リモートの攻撃者がテナントを作成・変更・削除できる恐れ（CVE-2026-17362・12.1.1.3 で修正の記載） > **TL;DR:** IBM API Connect 12.1.0.0〜12.1.1.2 で、認可の欠如により、リモートの攻撃者がテナントを作成・変更・削除できる恐れ（CVE-2026-17362・IBM 評価 CVSS v3.1 9.8・認証不要）。IBM は 12.1.1.3 で複数の脆弱性に対処と記載するが、この CVE の修正かは未確認。 **要点** - IBM は 2026-11-07、API Connect 12.1.0.0〜12.1.1.2 の CVE-2026-17362 を公表（NVD 登録も同日）。認可の欠如（CWE-862）により、リモートの攻撃者がテナントを作成・変更・削除できる恐れ。 - IBM の評価は CVSS v3.1 9.8（AV:N/AC:L/PR:N/UI:N）。認証不要で 9.0 以上のため severity 案は critical。EPSS は未算出、CISA KEV に掲載は確認できず。 - IBM 勧告の要約は 12.1.1.3 で複数の脆弱性に対処と記載。この CVE の個別の修正・回避策、対象 API は未確認。 - 版の確認、12.1.1.3 以降への更新計画、管理用の公開範囲の見直し、テナントの監査ログの確認を検討。本稿は公開情報の読み取りで、再現はしていない。 IBM は 2026-11-07、API 管理製品 **IBM API Connect** の 12.1.0.0 から 12.1.1.2 に、**認可の確認が欠けているため、リモートの攻撃者がテナントを作成・変更・削除できる恐れ**がある脆弱性（**CVE-2026-17362**）を公表しました。IBM の評価は CVSS v3.1 で **9.8**（CRITICAL）で、認証・利用者の操作はいずれも不要（PR:N・UI:N）とされています。IBM は同じ勧告で、12.1.1.3 で複数の脆弱性に対処したと記載しています。ただし、**この CVE の個別の修正版・悪用の有無は未確認**です。 ## 内容 NVD に登録された CVE の記述（2026-11-07 公開。登録元は IBM PSIRT）は次のとおりです。 - 対象: IBM API Connect **12.1.0.0 から 12.1.1.2**。 - 内容: 認可の欠如（CWE-862）により、リモートの攻撃者がテナントを作成・変更・削除できる恐れがある。 どの API（どの経路）が対象かは、公開された記述には書かれていません。攻撃の手順や実際の被害は公表されていません。本稿は公開情報を読んだだけで、再現はしていません。手順は載せません。 ## 評価 | 指標 | 値 | |---|---| | CVSS v3.1（IBM の評価・NVD 上は Secondary） | **9.8** `AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H` | | CWE | CWE-862（認可の欠如） | | NVD 登録 | 2026-11-07（状態は「Awaiting Analysis」で、NVD 自身の評価は未実施） | | EPSS（FIRST・11/7 時点） | 値なし（未算出） | | CISA KEV | 掲載は確認できず（11/7 取得） | 認証が不要でネットワークから攻撃でき、評価も 9.0 以上のため、当サイトの基準で severity 案は **critical** とします。 ## 影響を受ける版と対処 - 影響: IBM API Connect **12.1.0.0〜12.1.1.2**。 - 対処: IBM の勧告（node/7295635）の要約に「IBM API Connect v12.1.1.3 で複数の脆弱性に対処した」とあります。この CVE が 12.1.1.3 で直るかは、勧告の全文を最後まで確認できておらず、**未確認**です。回避策・緩和策の記載も確認できていません。 - この勧告には 100 件を超える CVE が含まれ、同じ製品の別の CVE（CVE-2026-17360・17301・17340・17408 など）も 9.8 前後と評価されています。 ## 利用者が考えられること 1. API Connect を使っているか、版を確認します（12.1.0.0〜12.1.1.2 が対象）。 2. IBM の勧告を確認し、12.1.1.3 以降への更新を計画します。 3. 更新まで、管理用の API・画面をインターネットに公開していないか見直します。 4. テナントの作成・変更・削除に身に覚えのない記録がないか、監査ログを確認します。 ## 未確認の点 - この CVE の個別の修正版（12.1.1.3 での修正かどうか）、回避策。 - 対象となる API・経路、成立条件、12.1.0.0 より前の版の影響。 - 悪用の有無、公開された攻撃コード（CISA KEV に掲載は確認できず）。 - NVD 自身の評価。 ## 出典 - [NVD CVE-2026-17362](https://nvd.nist.gov/vuln/detail/CVE-2026-17362) — NIST NVD - [IBM セキュリティ速報: IBM API Connect の複数の脆弱性（node/7295635）](https://www.ibm.com/support/pages/node/7295635) — IBM - [FIRST EPSS（CVE-2026-17362・値なし）](https://api.first.org/data/v1/epss?cve=CVE-2026-17362) — FIRST - [CISA KEV カタログ（掲載は確認できず）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/ibm-api-connect-missing-authorization-tenants-cve-2026-17362